Der Einsatz künstlicher Intelligenz verspricht Unternehmen Produktivitätsgewinne, bringt aber zugleich neue technische, rechtliche und organisatorische Risiken mit sich. Fehlerhafte Ergebnisse, erfundene Quellen, sensible Daten und die Transparenzpflichten des EU AI Acts machen klare Regeln notwendig. Die ISO/IEC 42001 schafft dafür einen anerkannten Managementrahmen: Unternehmen erfassen ihre KI-Anwendungen, bewerten Chancen und Risiken, definieren Verantwortlichkeiten, regeln Datenzugriffe, Prüfungen und Freigaben und schulen Beschäftigte. Eine Zertifizierung ist freiwillig und ersetzt keine Rechtsprüfung. Sie kann jedoch nach aussen belegen, dass Prozesse und Kontrollen strukturiert organisiert und unabhängig überprüft werden.
Bis zum Sommer 2026 klang die Vorstellung wie eine Science-Fiction: Eine künstliche Intelligenz hackt auf eigene Faust ein anderes Unternehmen. Doch dann geschah es ausgerechnet bei OpenAI, einem der Pioniere der KI-Entwicklung. Während eines Sicherheitstests verließ ein KI-Agent die vorgesehene Testumgebung und griff Systeme des KI-Unternehmens Hugging Face sowie weiterer Dienste an. Dieser Vorfall zeigt: Die Fähigkeiten der künstlichen Intelligenz (KI) entwickeln sich schneller als die Schutzmechanismen vieler Unternehmen.
Hinzu kommen nahezu täglich Meldungen über KI-Pannen im Unternehmensalltag: fehlerhafte Studien, erfundene Quellen sowie Chatbots, die sich zu absurden Aussagen und Prognosen verleiten lassen. Berühmt wurde zum Beispiel der Chatbot eines amerikanischen Autohändlers, der einem Kunden einen Chevrolet für einen Dollar zusagte. Andere Unternehmen verloren Millionen, weil sie sich auf fehlerhafte KI-Prognosen verließen.
Speziell kleinere Unternehmen stecken in einem Zwiespalt
Viele Geschäftsführer – gerade kleinerer Unternehmen – stecken deshalb in folgendem Zwiespalt:
- Einerseits bietet die KI ihnen enorme Produktivitätsvorteile. Mit ihrer Hilfe lassen sich heute insbesondere wiederkehrende Aufgaben, weitgehend automatisiert binnen weniger Sekunden erledigen. Das spart Geld und Zeit.
- Andererseits entstehen hieraus neue Risiken. KI-Systeme können halluzinieren, Informationen erfinden und vertrauliche Daten verarbeiten, die niemals ein- und weitergegeben hätten werden dürfen. Zudem müssen Unternehmen rechtliche Anforderungen beachten – unter anderem die Datenschutz-Grundverordnung und den EU AI Act.
Seit August gelten strengere bzw. konkretere Regeln
Seit dem 2. August 2026 gelten zentrale Transparenzpflichten aus dem Artikel 50 des EU AI Act. Unternehmen müssen nun dafür sorgen, dass für Menschen grundsätzlich erkennen ist, wenn sie mit einem KI-System wie einem Chatbot kommunizieren. Anbieter generativer KI-Systeme müssen zudem bestimmte KI-generierte Inhalte maschinenlesbar kennzeichnen. Und Unternehmen, die täuschend echte KI-Bilder, Videos oder Audioinhalte veröffentlichen, müssen solche Deep-Fakes grundsätzlich kenntlich machen. Bei KI-generierten Texten zu Themen von öffentlichem Interesse kann ebenfalls eine Kennzeichnungspflicht bestehen. Ausgenommen hiervon sind Texte,
- die fachlich durch einen Menschen geprüft wurden und
- für die eine Person oder Redaktion die Verantwortung übernimmt.
Eine bloße Rechtschreibkontrolle genügt dafür nicht.
Für kleine Unternehmen macht das die Situation nicht einfacher. Viele Geschäftsführer fragen sich:
- Dürfen unsere Beschäftigten ChatGPT oder andere KI-Tools verwenden und wenn ja wofür?
- Welche Daten dürfen in die Systeme eingegeben werden?
- Müssen wir KI-generierte Inhalte kennzeichnen?
- Wer überprüft die Ergebnisse? Und:
- Wer trägt die Verantwortung, wenn etwas schiefgeht?
Ziel: Die KI beherrschbar machen
Die Internationale Organisation für Normung hat für genau diese Herausforderung einen international anerkannten Rahmen geschaffen: die ISO/IEC 42001. Die ISO 42001 ist der weltweit erste Managementsystemstandard für künstliche Intelligenz. Er beschreibt, wie Unternehmen KI systematisch, sicher und verantwortungsvoll einsetzen können. Der Grundgedanke ist einfach: Die KI-Nutzung soll nicht durch Bürokratie verhindert werden. Vielmehr sollen klare Strukturen, Verantwortlichkeiten und Kontrollen den Unternehmen helfen, das Potenzial der Technologie kontrolliert auszuschöpfen.
Dazu verlangt die Norm unter anderem:
- ein Inventar der eingesetzten KI-Anwendungen,
- eine Bewertung der jeweiligen Chancen und Risiken,
- klar definierte Verantwortlichkeiten,
- Regeln für die Nutzung von Daten und vertraulicher Informationen,
- festgelegte Freigabe- und Prüfprozesse,
- eine Schulung der Beschäftigten,
- eine Überwachung der eingesetzten KI-Systeme,
- Regeln für den Umgang mit Fehlern, Problemen,
- ein kontinuierliches Verbessern des KI-Managements.
Damit wird die KI aus der betrieblichen Grauzone geholt. Statt dass jeder Beschäftigte selbst entscheidet, welches Tool für welchen Zweck genutzt wird, entstehen nachvollziehbare Regeln.
Die ISO 42001 garantiert jedoch nicht automatisch die Einhaltung des EU AI Acts. Die Norm schafft vielmehr ein Managementsystem, mit dem Unternehmen rechtliche, ethische und wirtschaftliche Anforderungen strukturiert erfassen und in der Praxis umsetzen können.
Vertrauen wird zum neuen Wettbewerbsvorteil
Durch die zunehmende Nutzung der KI-Systeme entsteht in der Beziehung zwischen den Unternehmen und ihren Kunden ein neues Gut: Vertrauen in den sicheren KI-Einsatz. Ein Unternehmen, das eine Agentur beauftragt, muss sich darauf verlassen können, dass die KI-generierten Arbeitsergebnisse in einem klaren Prozess überprüft werden. Schließlich möchte der Kunde zum Beispiel keine Marktuntersuchung erhalten, deren Quellen erfunden sind. Und die Mandanten einer Rechtsanwaltskanzlei müssen darauf vertrauen können, dass in einem Schriftsatz keine Gerichtsurteile zitiert werden, die nicht existieren. Dies gilt es zu gewährleisten.
Hierfür muss jedes Unternehmen, dessen Beschäftigte KI im Arbeitsalltag nutzen, unter anderem sicherstellen, dass diese ausreichend geschult sind. Sie müssen wissen, dass die KI überzeugend formulieren und trotzdem falschliegen kann. Sie müssen verstehen, welche Daten vertraulich sind und warum diese nicht in öffentliche KI-Tools eingegeben werden dürfen. Das Kernproblem im Betriebsalltag ist nicht der KI-Einsatz. Das Problem ist der Einsatz ohne klare Regeln.
Die ISO 42001 lässt sich unabhängig zertifizieren
Ob dieses Problem besteht, kann von hierauf spezialisierten Unternehmen wie der DICIS AG mit einem KI-Qualitätsmanagementsystem überprüft werden. Hierbei wird untersucht, ob das betreffende Unternehmen
- die Anforderungen der ISO 42001 erfüllt und
- seine Regeln tatsächlich in der Praxis anwendet.
Die ISO-Zertifizierung erfolgt davon unabhängig. Diese Aufgabe übernehmen unabhängige Zertifizierungsstellen. Die Zertifizierung ist freiwillig und keine gesetzliche Voraussetzung für den KI-Einsatz.
Der entscheidende Unterschied jedoch: Das zertifizierte Unternehmen behauptet nicht nur, dass es die KI verantwortungsvoll einsetzt. Es hat mit der Zertifizierung einen Beleg dafür, dass es seine Strukturen, Prozesse und Kontrollen diesbezüglich unabhängig überprüfen lässt. Insbesondere bei größeren Auftraggebern kann dies die Prüfung als (potenzieller) Lieferant erleichtern. Statt immer wieder umfangreiche Fragebögen zum KI-Einsatz beantworten zu müssen, verfügt das Unternehmen über einen standardisierten und international verständlichen Nachweis.
Braucht mein Unternehmen eine KI-Zertifizierung?
Nicht jedes Unternehmen braucht eine Zertifizierung nach ISO 42001. Wenn nur einzelne Beschäftigte gelegentlich die KI zum Generieren von Ideen oder als Formulierungshilfe nutzen, genügen in der Regel eine verständliche KI-Richtlinie, klare Verantwortlichkeiten und regelmäßige Schulungen.
Interessant wird eine Zertifizierung, wenn
- die KI wesentliche Geschäftsprozesse beeinflusst,
- die KI in Produkte oder Dienstleistungen integriert wird,
- die Arbeitsergebnisse maßgeblich mit KI erstellt werden,
- sensible oder vertrauliche Daten verarbeitet werden,
- die Kunden direkt mit KI-Systemen interagieren,
- KI-generierte Inhalte publiziert werden,
- viele Beschäftigte unterschiedliche KI-Anwendungen einsetzen,
- größere Auftraggeber Nachweise zum KI-Management verlangen,
- das Unternehmen sich als besonders sicherer Anbieter profilieren möchte.
Wissensintensive Dienstleister wie IT-Dienstleister, Agenturen, Beratungsunternehmen zählen deshalb zu den Unternehmen, für die eine Zertifizierung besonders interessant ist, denn: Bei ihnen ist die KI häufig nicht nur ein internes Hilfsmittel, sondern ein Bestandteil der Leistung, die die Kunden kaufen.
Drei für Ihre Entscheidung relevante Fragen
Top-Entscheider, die vor der Entscheidung «Zertifizierung ja oder nein» stehen, sollten sich folgende Fragen stellen:
- Können unsere Kunden darauf vertrauen, korrekte Ergebnisse zu erhalten – unabhängig davon, wie sie entstanden sind? Entscheidend ist nicht, ob ein Mensch oder eine KI einen ersten Entwurf erstellt hat. Entscheidend ist, ob das Ergebnis zuverlässig geprüft wurde.
- Können unsere Kunden darauf vertrauen, dass wir KI nur innerhalb der rechtlich zulässigen Grenzen einsetzen? Dazu gehören unter anderem Datenschutz, Transparenzpflichten, Urheberrecht und die Anforderungen des EU AI Acts.
- Können unsere Kunden darauf vertrauen, dass diese Standards im gesamten Unternehmen gelten? Ein professionelles KI-Management darf nicht davon abhängen, welcher Beschäftigte einen Auftrag bearbeitet. Notwendige Kompetenzen, Kontrollen und Freigaben müssen überall vorhanden sein. Wer diese drei Fragen nachvollziehbar beantworten kann, schafft Vertrauen. Wer die Antworten zusätzlich unabhängig prüfen lässt, macht dieses Vertrauen sichtbar.
Eine neue Form der Qualitätsauszeichnung
Das Interesse an der ISO 42001 ist 2026 deutlich gestiegen. Die Suchanfragen hiernach haben sich innerhalb weniger Monate nahezu verdreifacht. Der Grund liegt auf der Hand: Je selbstverständlicher KI-Einsatz im Unternehmensalltag wird, umso relevanter wird die Frage, wie zuverlässig dieser ist.
Eine ISO-42001-Zertifizierung kann deshalb zu einem wichtigen Wettbewerbsvorteil werden, denn sie signalisiert den Kunden, Auftraggebern und Geschäftspartnern: Dieses Unternehmen nutzt die KI nicht unkontrolliert. Es hat die Risiken bewertet, Verantwortlichkeiten geregelt, Beschäftigten geschult und seine Prozesse unabhängig überprüfen lassen.
Nicht jedes Unternehmen braucht hierfür ein Zertifikat. Doch jedes Unternehmen, das künstliche Intelligenz einsetzt, braucht klare Regeln. Denn die größte Gefahr ist nicht, dass Unternehmen KI verwenden. Die größte Gefahr ist, dass sie KI verwenden, ohne genau zu wissen, wo, wie und mit welchen Folgen.
